Sécurité et confidentialité
Ce qui protège les données de vos clients, dit simplement
Cette page décrit ce qui est effectivement en place dans DelaiPay. Ce qui reste à confirmer est indiqué comme tel.
Cloisonnement
Un espace par cabinet
Chaque cabinet a un espace dédié et reçoit son lien directement. Chaque client, facture, convention, document et entrée de journal est rattaché à cet espace ; chaque requête est filtrée côté serveur sur cet espace.
Des rôles
Administrateur, Comptable, Lecture seule, selon une matrice de droits documentée. Un compte en lecture seule ne peut rien modifier, quelle que soit la requête envoyée.
Accès à l’espace
Mots de passe
Conservés uniquement sous forme d’empreinte (bcrypt). Les tentatives de connexion sont limitées par compte.
Sessions
Chaque session est enregistrée côté serveur et peut être fermée à distance ; l’utilisateur voit ses sessions ouvertes et l’historique de ses connexions.
Appareils approuvés
L’administrateur peut exiger qu’un nouvel appareil soit approuvé avant tout accès. Un appareil est identifié par un jeton aléatoire, pas par son adresse IP.
Adresses IP autorisées
L’accès à l’espace peut être limité à une liste d’adresses ou de plages d’adresses. Avant d’enregistrer une liste, l’administrateur voit qui en serait exclu.
Traçabilité
Journal d’audit de l’espace
Imports (avec l’empreinte du fichier), conventions, décisions sur les anomalies et les doublons, clôtures, réouvertures motivées, exports, connexions. Aucune fonction de l’application ne modifie ni ne supprime une entrée ; la purge automatique ne concerne jamais ce journal.
Journal de la plateforme
Les actions de l’équipe DelaiPay (création d’un espace, suspension, accès d’assistance…) sont inscrites dans un journal protégé contre toute modification ou suppression.
L’équipe DelaiPay
Pas de données métier dans la console
La console d’administration de DelaiPay affiche des informations d’espace (nom, formule, nombre d’utilisateurs) mais jamais les données de vos dossiers.
Accès d’assistance encadré
Pour vous aider sur votre espace, un administrateur DelaiPay ouvre un accès d’assistance : motif obligatoire, deux heures au plus, lecture seule, fin automatique. Il apparaît dans votre journal et dans vos paramètres de sécurité.
Console protégée
La console exige une double authentification (code à usage unique d’une application d’authentification, codes de secours à usage unique) et peut être limitée à des adresses IP.
Infrastructure
Chiffrement en transit
HTTPS imposé sur tous les sites (HSTS), en-têtes de sécurité stricts (Content-Security-Policy, interdiction d’affichage dans un cadre).
Sauvegardes
Sauvegarde quotidienne de la base et des documents, chiffrée avant d’être écrite, avec rotation (7 quotidiennes, 4 hebdomadaires, 12 mensuelles) ; la procédure de restauration est documentée et vérifiée par des tests automatiques (restauration dans un répertoire neuf, contrôle d’intégrité). [À compléter : copie hors du serveur de production — à confirmer]
Service isolé
L’application tourne sous un compte système dédié, sans privilège, avec un accès au système de fichiers limité à ses seules données.
Hébergement
[À compléter : prestataire, pays et localisation des données — à confirmer]
Vos données
Export et fin de contrat
À la fin du contrat, les données de l’espace peuvent être exportées ; la suppression intervient après un délai de grâce, sur demande. [À compléter : durées exactes et procédure contractuelle — à confirmer]
Données personnelles
Les journaux techniques de connexion (sessions, appareils, historique de connexion) sont conservés 12 mois par défaut, puis purgés. [À compléter : déclaration auprès de la CNDP — à confirmer]
Certifications
[À compléter : aucune certification n’est revendiquée à ce jour — à compléter si le fondateur en obtient]
Une question de sécurité ?
Écrivez-nous ; nous répondons avec des faits, pas avec des labels. [À compléter : adresse de contact sécurité — à confirmer]